Nejlepší služby časových razítek RFC 3161 pro soulad s předpisy EU (2026)

Pokud potřebujete prokázat, že dokument existoval v určitém okamžiku a od té doby se nezměnil, je standardním mechanismem časové razítko RFC 3161. Jenže pokyn „pořiďte si časové razítko RFC 3161“ skrývá skutečnou volbu. Někteří poskytovatelé vám předají holý token časového razítka. Jiní vám dají token právně kvalifikovaný podle eIDAS. Další vám dají úplný, ověřitelný důkazní artefakt. Tento průvodce srovnává možnosti, na kterých záleží pro soulad s předpisy EU, a říká vám, kterou zvolit pro jaký účel.

Pokud chcete znát mechaniku důvěryhodného časového razítkování, přečtěte si nejprve náš výklad o časových razítkách RFC 3161 a o tom, kdy je vyžaduje zákon. Tento článek je o výběru poskytovatele.

Čtyři věci, na kterých skutečně záleží

1. Kvalifikované, nebo základní? Podle eIDAS (nařízení (EU) 910/2014) požívá kvalifikované elektronické časové razítko od kvalifikovaného poskytovatele služeb vytvářejících důvěru (QTSP) právní presumpce přesnosti a integrity. Základní časové razítko RFC 3161 je technicky platné, ale žádnou zvláštní presumpci nemá. U vysoce hodnotných nebo regulovaných důkazů na kvalifikaci záleží. U interních kontrol integrity často ne.

2. Se sídlem v EU, nebo ne? U práce citlivé na suverenitu může na tom, kde je poskytovatel usazen a kam vaše data putují, záležet stejně jako na samotném časovém razítku. Belgický QTSP vlastněný mateřskou společností mimo EU nepředstavuje z hlediska suverenity totéž co poskytovatel v evropském vlastnictví.

3. Jak se integrujete. Někteří poskytovatelé nabízejí prostý endpoint RFC 3161, který je ideální pro podepisovací pipeline, OpenSSL a nástroje pro PDF. Jiní přidávají REST nebo JSON API. Zvolte podle svého technologického zásobníku.

4. Token, nebo důkazní artefakt? Token časového razítka dokazuje přesně jednu věc: tento haš existoval v tomto čase. Úplný důkazní artefakt spojuje tento token s hašovým řetězcem, auditní stopou a ověřitelným balíčkem, který můžete předat soudu nebo auditorovi. Než začnete vybírat, rozhodněte se, co skutečně potřebujete.

Kvalifikovaní poskytovatelé služeb vytvářejících důvěru v EU

Vyberte si z nich, když potřebujete právně kvalifikovaný token časového razítka s nejsilnější právní váhou a chcete mít poskytovatele uvnitř EU.

• Evidency (Francie). Kvalifikované časové razítkování, pečetění a archivace v pojetí API-first od QTSP kvalifikovaného agenturou ANSSI. Nejvhodnější pro týmy v EU, které chtějí kvalifikovaná časová razítka eIDAS přes čisté REST API. Ceny začínají zhruba na 500 eurech měsíčně, bez bezplatné úrovně. Viz evidency.io.
• D-Trust / Bundesdruckerei (Německo). QTSP německé státní skupiny Bundesdruckerei. Její kvalifikovaná časová razítka mají zaručenou ověřitelnost až po dobu 30 let, se zdrojem času synchronizovaným s německým signálem DCF77. Nejvhodnější pro dlouhodobé, právně závazné důkazy od poskytovatele se státním zázemím. Viz d-trust.net.
• Certum / Asseco (Polsko). Auditovaná certifikační autorita od roku 2002, která nabízí kvalifikované časové razítkování a k tomu bezplatnou veřejnou základní TSA (time.certum.pl) pro soukromé a neziskové použití. Nejvhodnější pro týmy v EU, které chtějí kvalifikovaného poskytovatele se snadnou bezplatnou možností, jak začít testovat. Viz certum.eu.
• SK ID Solutions (Estonsko). Kvalifikovaná časová razítka přes standardní RFC 3161, stavěná na vysoké podnikové objemy. Přístup je přes RFC 3161 po HTTP, nikoli přes REST API, za ceny podnikové úrovně. Nejvhodnější pro kvalifikované časové razítkování ve velkých objemech. Viz skidsolutions.eu.
• Utimaco Timestamp-as-a-Service (Německo). Kvalifikovaná časová razítka od zavedeného dodavatele HSM a PKI, přes rozhraní RFC 3161, s 30denní zkušební verzí místo trvalé bezplatné úrovně. Nejvhodnější pro týmy, které už ve světě HSM a PKI žijí. Viz utimaco.com.

Globální certifikační autority s kvalifikovanými subjekty v EU

Pokud již používáte velkou certifikační autoritu, dvě z nich provozují časové razítkování kvalifikované v EU, s jednou výhradou: kvalifikovaný subjekt je evropský, mateřská společnost však ne.

• GlobalSign. Kvalifikované časové razítkování v EU zajišťuje prostřednictvím belgického subjektu GMO GlobalSign NV/SA, uznaného QTSP. Mateřská společnost GMO Internet Group sídlí v Japonsku, takže navzdory belgickému QTSP nejde o poskytovatele v evropském vlastnictví. Nejvhodnější pro organizace, které už standardně používají certifikáty GlobalSign. Viz globalsign.com.
• DigiCert. Provozuje široce používanou bezplatnou TSA RFC 3161 pro podepisování kódu (timestamp.digicert.com), která není kvalifikovaná podle eIDAS, a k tomu samostatné placené kvalifikované časové razítko eIDAS prostřednictvím svých subjektů DigiCert Europe a QuoVadis zapsaných na důvěryhodném seznamu EU. Mateřská společnost DigiCert Inc. sídlí v USA. Nejvhodnější pro týmy, které už DigiCert pro certifikáty používají. Viz digicert.com.

Bezplatné a vývojářské možnosti

Pro testování, prototypy nebo nekritické kontroly integrity kvalifikovaného poskytovatele nepotřebujete.

• FreeTSA. Bezplatná TSA RFC 3161 provozovaná komunitou, která funguje s OpenSSL a curl. Její prohlášení o postupech neuvádí žádný právní subjekt a nenabízí žádnou záruku, garanci dostupnosti ani kvalifikovaný status, takže ji berte jako technický doklad, nikoli jako právní důkaz. Viz freetsa.org.
• Bezplatná TSA společnosti DigiCert pro podepisování kódu a time.certum.pl od společnosti Certum jsou rovněž zdarma a rovněž základní.

Výhrada je u všech tří stejná: základní časové razítko odpoví na otázku „změnil se tento soubor?“, ale nenese žádnou právní presumpci podle eIDAS. Nespoléhejte na něj tam, kde možná budete muset prokázat integritu u soudu nebo před daňovým úřadem.

Jiné modely: ukotvení v blockchainu a agregátory

Ne všechno v této oblasti je QTSP s RFC 3161.

• OriginStamp (Švýcarsko). Místo vydávání tokenů RFC 3161 ukotvuje haše dokumentů ve veřejných blockchainech, jako jsou Bitcoin a Ethereum, jako důkaz existence, a to přes REST API. Sídlí ve Švýcarsku, mimo EU a EHP, a netvrdí žádnou kvalifikaci podle eIDAS. Nejvhodnější pro vývojáře, kteří chtějí jednoduché ukotvení v blockchainu místo kvalifikované služby vytvářející důvěru. Viz originstamp.com.
• eID Easy (Estonsko). Sám o sobě není TSA. Je to jediné API, které směruje požadavky na časová razítka k několika QTSP třetích stran, s automatickým přepnutím, když některý z nich nefunguje. Nejvhodnější pro vývojáře, kteří chtějí jednou integrací dosáhnout na mnoho kvalifikovaných poskytovatelů. Viz eideasy.com.

Kde se uplatňuje SealDoc

SealDoc je platforma pro důkazy. Vyžaduje časová razítka RFC 3161 od nezávislé autority časového razítka v EU a obaluje je tím, co vám samotný token časového razítka nedá: hašovým řetězcem SHA-384, který odhalí každou manipulaci, ověřitelným balíčkem Legal Evidence Pack a elektronickou fakturací pro EU (Factur-X, ZUGFeRD, XRechnung a Peppol BIS 3.0). Vše běží v EU, bez závislosti na americkém hyperscaleru.

Rozdíl je v tom, co dostanete zpět. Výše uvedení poskytovatelé vám předají token časového razítka. SealDoc vám předá úplný důkazní artefakt: dokument, časové razítko, hašový řetězec a auditní stopu, spojené dohromady a nezávisle ověřitelné.

Zvolte SealDoc, když potřebujete celý důkazní artefakt a soulad s předpisy EU v jednom, nejen časové razítko. Podívejte se, co přidává důkazní vrstva.

Jak vybrat, na jedné obrazovce

• Potřebujete právně kvalifikovaný token časového razítka a nic víc: QTSP v EU (Evidency, D-Trust, Certum, SK ID Solutions, Utimaco).
• Už standardně používáte globální certifikační autoritu: kvalifikovaná služba GlobalSign nebo DigiCert, s vědomím výhrady ohledně mateřské společnosti mimo EU.
• Jen testujete nebo jde o nekritické použití: FreeTSA nebo bezplatná TSA společnosti Certum, které jsou základní a nekvalifikované.
• Chcete úplný, ověřitelný důkazní artefakt plus elektronickou fakturaci pro EU, a to suverénně v EU: SealDoc.

Ať zvolíte cokoli, ověřte si před závazným rozhodnutím dvě věci. Zaprvé, že časové razítko je skutečně kvalifikované, pokud to váš případ použití vyžaduje, a to kontrolou důvěryhodného seznamu EU, nikoli marketingových textů. Zadruhé, že časové razítko budete moci ověřit i za mnoho let, nezávisle na poskytovateli. Právě tento druhý bod je důvodem, proč jsou tokeny RFC 3161 soběstačné: důkaz, který založíte dnes, musí obstát i v roce 2035, ať už poskytovatel bude existovat, nebo ne.